安全体系建设方案

1安全体系根据《数字XX发展纲要》及《XX行业信息化标准体系》，XX行业人力资源系统将依托XX行业信息安全体系设计，采用身份认证技术及对各种应用服务的安全性增强配置服务来保障系统在应用层的安全。

1.1建设原则XX行业人力资源系统安全保障体系涉及到整个工程的各个层次，网络和信息安全的建设应该遵循以下原则：1.整体安全信息化是一个复杂的工程，必须从一个完整的安全体系结构出发，综合考虑信息网络的各种实体和各个环节，综合使用各层次的各种安全手段，为信息网络和业务应用系统提供全方位的安全服务。

2.有效管理网络信息系统所提供的各种安全服务，涉及到各个层次、多个实体和各种安全技术，只有有效的安全管理（如密钥定期更新、防火墙监控、审计日志的分析等），才能保证这些安全控制机制真正有效地发挥作用。

3.合理折衷在系统建设中，安全与投资、系统性能、易用性、管理的复杂性都是矛盾的，安全保障体系的建设应该在以上四个方面找到一个合理的折衷点，在可接受的风险范围内，以最小的投资换取最大的安全性，同时不因使用和管理的复杂而影响整个系统的快速反应和高效运行的总体目标。

4.适应一致安全管理模式应该尽量与行业核心需求相一致，既要保证行业上下级之间的统一领导、统一管理，同时乂给基层单位以足够的灵活性，以保障业务系统的高效运行。

5.权责分明一方面，XX行业的各级系统可以分为三层：信息网络、计算机系统和应用系统；另一方面，网络和应用系统都有国家、省、市等的分级结构。

因此，应釆用分层、分级管理的模式，各级网络管理中心负责网络的安全可靠运行，为应用信息系统提供安全可靠的网络服务，各级信息中心负责计算机系统和应用系统的安全管理。

6.综合治理各种安全技术应该与运行管理机制、人员的思想教育与技术培训、安全法律法规建设相结合，从社会系统工程的角度综合考虑。

1.2身份认证和授权1.2.1公开密钥基础设施(PKD公钥基础设施对于实现电子的或网上的业务处理，使电子政府达到其成熟阶段具有不可或缺的，极为重要的意义。

同时，公钥基础设施也是信息时代所有社会经济活动中所不可缺少的一项基础设施。

公钥基础设施是由硬件、软件、各种产品、过程、标准和人构成的一个一体化的结构，正是由于它的存在，才能在电子事务处理中建立信任和信心。

公钥基础设施可以做到：确认发送方的身份保证发送方所发信息的机密性保证发送方所发信息不被篡改发送方无法否认已发该信息的事实公开密钥基础设施(PKl)是一种遵循标准的密钥管理平台，它能够为所有网络应用透明地提供采用加密和数字签名等密码服务所必需的密钥和证书管理。

PKl必须具有认证机关(CA)、证书库、密钥备份及恢复系统、证书作废处理系统、客户端证书处理系统等基本成分，构建PKl也将围绕着这五大系统来构建。

公开密钥基础设施建设为各种应用系统提供统一的安全服务。

有了 PKI系统的支持，才可能广泛使用安全通信协议(如SSL等)，才能为多种应用提供统一的认证、数据保密与完整性、数字签名等多种安全服务。

在大规模、分布式网络环境中，利用公钥密码体制在认证、数字签名和密钥管理等多方面的优势，可以提供统一的认证、授权、数字签名、抗抵赖等机制, 保证不同安全管理域之间的各种安全技术的互操作性和可扩展性，为大规模公开密钥技术的使用提供了可能。

基于PKI的通信涉及到四种实体：用户、应用或服务、CA和LJ录服务器。

证书中存放持有者（用户或服务器）的标识信息、公钥、证书的有效期、签发者的数字签名等信息。

证书的签发者是网络通信中可信的第三方，称为CertifiCate AUthOrity （CA）O IJ录服务一般用于发布证书，支持证书的在线检索和管理。

在XX行业人力资源系统安全体系中，涉及到三种类型的证书：用户证书、服务器证书、CA证书。

用户主要包括管理人员及业务人员，还可以包括其他需要使用本系统的用户。

CA证书是CA本身的证书，最高层CA自签名产生，其他的则由上一级CA签名。

用户和应用服务器用CA的证书来验证该CA所签发证书的有效性。

1. 2. 2证书管理公钥证书用来标识用户和服务的身份并验证其真实性，证书的管理工作涉及以下儿个方面：1.证书的产生认证中心根据用户（下级认证中心、本管理域的个人或服务器）的申请，填写用户信息，产生密钥对，用CA的私钥进行数字签名，生成公钥证书。

用户的私钥以软盘或IC卡的形式交给用户，并且用口令保护。

2.证书分发认证中心签发的证书通过□录服务器向整个XX信息网络发布。

用户程序和服务器间通信是可以从Ll录服务器检索到对方的公钥，验证对方的数字签名。

3.证书回收证书在有效期满自动作废。

证书回收是指在证书到期之前，使证书作废。

证书回收发生在以下三种情况：（1）怀疑该证书对应的私钥已经被截获，变得不可靠。

（2）证书的持有者不再是本管理域内的授权用户，如人员退休、离职。

（3）证书中的有些内容需要修改。

Ll前证书回收普遍使用的方法是离线（Off-Iine）方式，CA定期通过H录服务器发布证书回收链表(CRL)。

在Ll录服务器之间象证书一样向整个系统通告。

山于证书回收链表有CA数字签名，是不可伪造和篡改的。

1.2.3 CA 系统作为信息安全系统的应用基础，CA认证和PKl能够保证以下的安全特性：1.保密性(Confidentiality)：保密性是信息的拥有者有权保持数据的秘密性, 只有被授权者才可获知该信息。

2.完整性(Integrity)：是程序和数据的存在状态应该与它们原来的存在状态相同，信息不能被非法修改，无论这种修改是偶然无意的还是蓄谋恶意的，完整性反映了信息的精确度和可靠性。

3.防抵赖性：防I匕通信发起者以后否认曾经参与过某次通信的一部分或全部过程。

对参与通信的各方进行审查，鉴定是否曾参与过某次通信过程。

PKl主要是为安全电子邮件系统、安全公文流转系统以及安全拨号系统提供安全支撑。

考虑到具体的用户需求，同时也考虑到系统建设的时间要求及现有条件，本着安全可用的观点，必须具有灵活性和可扩展性。

在整个网络中，CA系统是构建整个安全应用系统的核心。

CA系统由XX 行业安全系统统一建设。

在安全系统中，两个实体之间的互操作必须建立在他们之间相互信任的基础之上，而CA系统就是构建这种信任的基石。

双方通过一个信任的独立的笫三方 A建立起信任关系。

CA系统是作为一个公正的、独立的第三方，来提供身份验证服务。

它平等的的对待每一个用户，它根据用户的真实身份颁布证书、对应的私钥(对应用户妥善保管，谨防泄露)，同时提供更新、作废证书、证书查询下载等功能。

这种信任关系的建立有以下的优点：•身份识别标志的统一由于在一个大规模的网络应用系统中，存在多个应用程序，同一用户在不同的应用中，可能有不同的用户名、口令，以及验证方式。

这种方式存在以下的不足：首先、每个应用中的用户管理部分都要从底层开始各有一套，存在大量冗余; 其次、整个系统的用户安全认证水平取决于安全程度最低的那个应用，导致系统综合安全水平的下降；最后、整个系统中的各个应用仍然是孤立的，没有综合考一个用户可以使用每个应用系统，虽然他在不同的应用中的角色不同，所能作的事不同，但是身份标志、以及识别方式应该是一致的、统一的。

而CA颁发的数字证书就是这样一个统一的身份标志、同时提供了一个统一的身份认证识别机制。

•对应用框架的扩展CA提供的身份识别机制的另一个优点就是，CA的体系结构、身份标志、身份认证识别机制是与应用无关的。

它仅仅提出了一个身份识别、认证的框架和标准，只要应用遵守这个标准，新的应用就很容易容入到整个系统中。

•验证双方的对等性由于在CA体系的验证中，参与验证的双方是平等的，他们之间不存在从属关系。

这就避免了典型的C/S结构中，服务器端利用自己的优势地位单向的验证客户方，从而造成的安全隐患（服务器冒充）。

而且，这种验证在分布式应用（邮件）中显得尤为重要。

•良好的互操作性由于CA体系结构、遵循国际PKIX标准、证书采用X509 v3,这样非常方便了应用程序之间的互操作性与相互集成。

在建设PKl系统时，要考虑到二级PKI系统，并要考虑到将来的交义验证问题。

对于目前二级机构中的省级CA,它作为root CA将能颁发自身的证书，以及所辖市级CA的证书，还有省级终端用户的证书；而对市级CA,它只能颁发市级终端用户的证书。

• CA系统结构作为PKl系统一个组成部分的CA系统，CA系统提供内部接口，使得用户透明地通过应用代理系统完成对数字证书的存取，进而在各自的系统中完成对信息的加密、解密，达到抗抵赖、完整性保护的功能。

1.2.4授权管理基础设施PMlPMl以PKI体系为基础，是建立在XXPKl体系上的授权基础设施，因此, PMl可以看成是PKI体系的扩展，业务应用系统可通过授权管理基础设施（后文简称PMI）来实施授权策略。

同PKl相比，PMl和PKI两者的区别主要在于：PKI证明用户是谁，而PMl 证明这个用户有什么权限，能干什么。

在过去的儿年中，权限管理作为PKl的一个领域得到快速发展，人们已经认识到需要超越当前PKl提供的身份验证和机密性，步入授权验证的领域,提供信息环境的授权管理将成为下一个主要U标。

在PKl的基础上，PMl 实际提出了一个新的信息保护基础设施，能够与PKl和 Ll录服务紧密的集成。

PMl作为一个基础设施能够系统对认可用户进行特定授权，PMl通过结合授权管理系统和身份认证系统补充了 PKl的弱点，提供了将 PKl集成到应用讣算环境的模型。

PMl以向用户和应用程序提供权限管理和授权服务为IJ标，主要负责向业务应用系统提供与应用相关的授权服务管理，提供用户身份到应用授权的映射功能，实现与实际应用处理模式相对应的、与具体应用系统开发和管理无关的访问控制机制，极大地简化应用中访问控制和权限管理系统的开发与维护，并减少管理成本和复杂性。

PMl以应用系统的资源管理为核心，将对资源的访问控制权统一交山授权机构进行管理，即山资源的所有者一一业务应用系统来进行访问控制。

PMl作为权限管理和授权服务平台，提供了将基于策略的授权管理模型应用于具体应用系统和资源的框架。

作为权限管理和授权服务的基础设施，它能够使用独立于应用的授权框架为它所支持的安全域内类型不同的应用系统提供权限管理和授权服务。

基于PMl平台的应用安全方案主要根据用户和资源的管理方式定制应用系统的安全策略和授权管理策略，并通过AA服务器签发属性证书为用户分配角色对用户进行授权。

使用某种身份认证方式来确认用户的身份后，系统确定用户的角色信息，策略服务器根据策略对角色、请求和访问Ll标进行决策，决定是否授权。

应用系统可以基于PMl的支持实现身份认证、访问控制、数据保密、数据完整性保护和安全审计功能。

作为支撑性的授权平台，可以使用PMl平台支持多种类型不同的应用，并能够兼容原有ACL （ACCeSS ContrOl List,访问控制列表），MAC（MandatOry ACCeSS Control,强制访问控制）等访问控制方式。